一项一项教你测等保2.0安全扩展要求——工业控制系统安全
#头条创作挑战赛#一、前言
今天我们来说工业控制系统安全，工业控制系统关系到生产的顺利进行，一般情况都是生产范围内运行，很少有连接到外部网络的，封闭的运行环境，加上追求系统的稳定性，工业控制系统自从开始运行除非影响到生产，是不会进行变动的，包括一些安全加固，我们在测评过程中也是优先保障其顺利生产，难免就有所顾忌。
https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/a795bfca6e09431d82c41fcd90a10b32~tplv-tt-large.image?x-expires=2006136774&x-signature=6yd4MnujQm%2BZlYvQmL06YYdYoZ0%3D
因此工业控制系统安全在测评项设置方面也都是一些物理、访问控制、安全隔离和安全管理方面的，一些技术手段的使用也是在保障顺利生产的前提下，否则宁可不用，有人说网络安全“三分靠技术，七分靠管理”，但是在工业控制系统安全上，可能就要“一分靠技术，九分靠管理了”。
二、测评项
1、安全物理环境
（1）室外控制设备物理防护
a) 室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固；箱体或装置具有透风、散热、防盗、防雨和防火能力等；
核查室外控制设备是否放置于采用铁板或其他防火材料制作的箱体或装置中，并紧固于箱体或装置中；核查放置室外控制设备的箱体或装置是否具有透风、散热、防盗、防雨和防火能力等。
b) 室外控制设备放置应远离强电磁干扰、强热源等环境，如无法避免应及时做好应急处置及检修，保证设备正常运行。
核查室外控制设备的放置位置是否远离强电磁干扰、强热源等环境；当干扰无法避免时，核查是否有应急处置及检修维护记录。
https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/519808877ba24d36b146a8b5c0e8e8f3~tplv-tt-large.image?x-expires=2006136774&x-signature=%2BqbCP%2FUBrvvqCBP9Eq2tS46vx2A%3D
2、安全通信网络
（1）网络架构
a) 工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用单向的技术隔离手段；
核查网络拓扑图，工业控制系统是否与其他系统之间进行了区域划分；区域间是否采用单向的技术隔离手段；测试一下这些单项隔离手段是否有效。
b) 工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段；
核查网络拓扑图，工业控制系统内部是否根据业务特点进行了区域划分；区域间是否采用技术隔离手段；测试一下这些隔离手段是否有效。
c) 涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备组网，在物理层面上实现与其它数据网及外部公共信息网的安全隔离。
核查涉及实时控制和数据传输的工业控制系统，是否使用独立的网络设备组网；测试与其它数据网及外部公共信息网是否无法通信。
（2）通信传输
在工业控制系统内使用广域网进行控制指令或相关数据交换的应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。
核查工业控制系统中使用广域网传输的控制指令或相关数据是否已采用加密认证技术实现身份认证、访问控制和数据加密传输，常见的有VPN链路加密和端到端秘钥加密。
https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/cdf7a16f9d814f8ea58e35f0704c4946~tplv-tt-large.image?x-expires=2006136774&x-signature=3uiDRe%2BC%2BSQ3VWywKnbhyLw6Fbs%3D
3、安全区域边界
（1）访问控制
a) 应在工业控制系统与企业其他系统之间部署访问控制设备，配置访问控制策略，禁止任何穿越区域边界的E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务；
核查工业控制系统与企业其他系统之间是否部署了访问控制设备，以及是否配置了访问控制策略；测试这些设备是否可以成功禁止E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务。
b) 应在工业控制系统内安全域和安全域之间的边界防护机制失效时，及时进行报警。
核查工业控制系统安全域之间是否设置保护机制失效报警机制；测试当保护机制失效时，是否及时进行报警。
（2）拨号使用控制
a) 工业控制系统确需使用拨号访问服务的，应限制具有拨号访问权限的用户数量，并采取用户身份鉴别和访问控制等措施；
核查是否有设备对拨号访问服务进行访问用户数量上的限制，访问前是否有用户名+口令的身份鉴别措施和访问权限的控制措施；测试这些措施是否有效。
b) 拨号服务器和客户端均应使用经安全加固的操作系统，并采取数字证书认证、传输加密和访问控制等措施。
核查拨号服务器和客户端是否使用安全加固的操作系统；是否采取数字证书认证、传输加密和访问控制等措施，测试这些措施是否有效。
（3）无线使用控制
https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/a7acefd6b13b4743b5e1f6b4880d4294~tplv-tt-large.image?x-expires=2006136774&x-signature=OM0FOC3zvHkqMdBP3jj4AfI2FVs%3D
a) 应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性标识和鉴别；
核查参与无线通信的用户是否分配了唯一的用户名，参与无线通信是否需要输入口令鉴别。
b) 应对所有参与无线通信的用户（人员、软件进程或者设备）进行授权以及执行使用进行限制；
核查参与无线通信的用户是否进行了权限分配，分配是否合理，测试非授权用户是否可以参与相关行为。
c) 应对无线通信采取传输加密的安全措施，实现传输报文的机密性保护；
核查无线通信是否采取传输加密措施，例如秘钥加密、加密算法加密等，可以抓取一些无线传输数据包验证数据是否加密。
d) 对采用无线通信技术进行控制的工业控制系统，应能识别其物理环境中发射的未经授权的无线设备，报告未经授权试图接入或干扰控制系统的行为。
核查工业控制系统是否可以实时检测其物理环境中未经授权的无线设备；核查当检测到未经授权的无线设备时是否能及时告警并对试图接入的无线设备进行屏蔽。
4、安全计算环境
（1）控制设备安全
a) 控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求，如受条件限制控制设备无法实现上述要求，应由其上位控制或管理设备实现同等功能或通过管理手段控制；
核查控制设备自身是否具有身份鉴别、访问控制和安全审计等安全功能，如果有核查这些功能是否可以满足相应级别安全通用要求；如果没有，核查其上位控制或管理设备能否实现同等功能或通过管理手段控制。
b) 应在经过充分测试评估后，在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作；
核查是否有更新测试评估报告，是否在充分测试评估后不影响系统安全稳定运行的情况下进行补丁更新、固件更新等工作。
https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/59f7b0b6430f4ac885e1fbb517676ad6~tplv-tt-large.image?x-expires=2006136774&x-signature=Lw2KlEA8NoWARuMSUHwPG3blS7s%3D
c) 应关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等，确需保留的应通过相关的技术措施实施严格的监控管理；
核查是否关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等，需要保留的接口采用什么监控管理措施。
d) 应使用专用设备和专用软件对控制设备进行更新；
核查是否使用专用设备和专用软件对控制设备进行更新。
e) 应保证控制设备在上线前经过安全性检测，避免控制设备固件中存在恶意代码程序。
核查控制设备安全性检测报告，确认出具报告单位资质和控制设备不存在恶意代码程序的相关内容。
5、安全建设管理
（1）产品采购和使用
工业控制系统重要设备应通过专业机构的安全性检测后方可采购使用。
核查工业控制系统重要设备的安全性检测报告；确认专业机构资质和报告肯定的结论。
https://p3-sign.toutiaoimg.com/tos-cn-i-qvj2lq49k0/0fed6d9fbcfd4688af9627ae36f21cd3~tplv-tt-large.image?x-expires=2006136774&x-signature=67bqz6LJKfJPoZhnrZj8sKS2FuY%3D
（2）外包软件开发
应在外包开发合同中规定针对开发单位、供应商的约束条款，包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。
核查外包开发合同规定针对开发单位、供应商的约束条款中，是否包括设备及系统在生命周期内有关保密、禁止关键技术扩散和设备行业专用等方面的内容。
结束语
以上就是一项一项教你测等保2.0安全扩展要求——工业控制系统安全的所有内容，希望对大家有所帮助，之后会更新其余安全扩展要求的测评项，欢迎关注@科技兴了解更多科技尤其是网络安全方面的资讯与知识。
页:
[1]